Firefox 74 väljaanne

Ilmus veebibrauser 🥇Hobbits 0.21 — binaarfailide visualiseerija tagasirendimiseks | ProHoster, samuti mobiiliversioon Firefox 68.6 Androidi platvormile. Lisaks on välja antud värskendus haru pikendatud toe kestusega 68.6.0. Peagi jõuab etappi bèta-testimise Firefox 75 haru, mille väljalaskmine on planeeritud 7. aprilliks (projekt on läinud 4-5 nädalat arendusprotsess). Firefox 75 beetaversiooni jaoks alustatud valmistatud Kohandamisvõimalused Midori 9: Linuxi jaoks Flatpak formaadis.

Peamised uuendused:

• Linuxi koondistes on kasutusele võetud isolatsioonimehhanism RLBox, mis on suunatud kolmanda osapoole funktsioonide teekide haavatavuste ära kasutamise blokeerimisele. Praegu on isolatsioon sisse lülitatud ainult teegi jaoks Graphite, mis vastutab fontide joonistamise eest. RLBox viib eraldatud raamatukogu C/C++ koodi kompileerimise läbi madala taseme WebAssembly vahekoodeksiks, mis vormistatakse seejärel WebAssembly moodulina, mille volitused on määratud ainult sellele moodulile. Koostatud moodul töötab eraldi mälualas ja tal ei ole juurdepääsu ülejäänud aadressiruumi. Kui raamatukogus esinevat haavatavust kasutatakse, on ründaja piiratud ja ei saa pöörduda põhiprotsessi mälualade poole ega suunata juhtimist väljaspool isoleeritud keskkonda.
• DNS üle HTTPS režiim (DoH, DNS over HTTPS) lubatud vaikimisi Ameerika Ühendriikide kasutajatele. Vaikimisi DNS-i pakkujana on valitud CloudFlare (mozilla.cloudflare-dns.com lisatud ja blokeerimisnimekirjad Roskomnadzori), ja valikuna on saadaval ka NextDNS. DNS-i pakkujat või DoH-i aktiveerimist teistes riikides saab muuta saab võrgupesade seadetes. Rohkem DoH-ist Firefoxis saab lugeda eraldi teadaandest.
  
• Käivitatud TLS 1.0 ja TLS 1.1 protokollide toetus. Kaitstud ühenduse kaudu veebisaitidele pääsemiseks peab server toetama vähemalt TLS 1.2. Google'i andmetel toimub praegu umbes 0,5% veebilehtede laadimist vananenud TLS versioonide kasutamisega. Keelamine on toimunud vastavalt soovitustele IETF (Internet Engineering Task Force). TLS 1.0/1.1 toetuse lõpetamise põhjuseks on kaasaegsete krüptode (nt ECDHE ja AEAD) toetamata jätmine ning vanade krüptode nõudmine, mille usaldusväärsus on tänapäeva arvutitehnika arengu kontekstis kahtluse all (nt nõutakse TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, kehtivuse ja autentimise kontrollimiseks kasutatakse MD5 ja SHA-1). Alates Firefox 74-st, kui proovite kasutada TLS 1.0 ja TLS 1.1, kuvatakse tõrge. Vanade TLS-i versioonide toe taastamine on võimalik seadistuse security.tls.version.enable-deprecated = true kaudu või tõrketeate lehe nuppu kasutades, mis kuvatakse, kui sisenete vanade protokollide järgi töötavale veebisaidile.
  
• Väljalaske märkuses on soovitatud lisa Facebooki konteiner, mis automaatselt blokeerib kolmandatel osapooltel asuvates saitides kasutatavaid Facebooki vidinaid, mida kasutatakse autentimiseks, kommentaaride postitamiseks ja meeldimisteks. Facebooki tuvastamisseadmed isoleeritakse eraldi konteinerisse, takistades kasutaja tuvastamist külastatud veebisaitidega. Ühendus Facebooki põhisaidiga jääb alles, kuid see isoleeritakse teistest saitidest.

  Juhuslike saitide paindlikumaks isoleerimiseks pakutakse lisa Multi-Account Containers konseptuaalsete konteinerite rakendamise kaudu. Konteinerid võimaldavad eristada erinevat tüüpi sisu ilma, et peaks looma eraldi profiile, võimaldades eraldada teavet eri lehekülgede gruppide vahel. Näiteks on võimalik luua eraldatud, üksteisest isoleeritud alad isiklikuks suhtlemiseks, töötamiseks, ostmiseks ja pangandustehinguteks või korraldada eri kasutajakontode samaaegset kasutamist ühel ja samal saidil. Igas konteineris kasutatakse eraldi salvestusi küpsiste, Local Storage API, indexedDB, vahemälu ja OriginAttributes sisu jaoks.

• about:config on lisatud seadistus "browser.tabs.allowTabDetach", mis võimaldab keelata vahelehtede eraldamise uuteks akendeks. Juhuslik vahelehe eraldamine on üks kõige häirivamaid vead Firefoxis, mille kõrvaldamine on püüdeldud on kestnud 9 aastat. Brauser võimaldab hiirega lohistada vahelehte uude aknasse, kuid teatud olukordade kokkulangemisel eraldub vaheleht eraldi aknasse ja töö käigus juhtub hiire hooletu liigutusega vahelehe klõpsamise ajal.
• Lõpetatud tugede osas, mis on salvestatud kõrvalise tee kaudu ja ei ole seotud kasutajaprofiilidega. Muudatus puudutab ainult laienduste installimist ühistes kataloogides (/usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ või ~/.mozilla/extensions/), mis on käsitletud kõigi Firefoxi instantside poolt süsteemis (ilma kasutajaga sidumiseta). Selline meetod on tavaliselt rakendatud lisandite eelinstalleerimiseks distributsioonides, soovimatute lisandite kooskolimiseks kolmandate osapoolte rakendustega, pahatahtlike lisandite integreerimiseks või oma installerite kaudu lisandi isoleeritud tarnimiseks. Firefox 73-s olid varem sunniviisiliselt installeeritud lisandite automaatne üleviimine ühest kataloogist kasutajaprofiilidesse toimunud ja nüüd on need eemaldatud hoidlapidaja kaudu hallatavad.
• Brauserisse kuuluvas süsteemi lisandis Lockwise, mis pakub liidest "about:logins" salvestatud paroolide haldamiseks, on tekkinud toetamine järjestamise võimalus tagurpidi (Z-st A-ni).
• WebRTC-s on tõhustatud kaitset sisemiste IP-aadresside leketest hääl- ja videokõnede ajal, kasutades mehhanismi "mDNS ICE", mis peidab kohalikku aadressi dünaamiliselt genereeritud juhusliku identifikaatori taha, mis määratakse Multi-cast DNS-i kaudu.
• Vaate režiimi „pilt pildis“ lüliti asukoht on muudetud, mis kattis Instagrami fotode masslaadimise liidese järgmise pildi nupu.
• JavaScriptis on lisatud operaator „?.“, mis on mõeldud kogu omaduste või kutsungite ahela ühekordseks kontrollimiseks. Näiteks määrates „db?.user?.name?.length“, on nüüd võimalik viidata väärtusele „db.user.name.length“ ilma eelnevaid kontrolle tegemata. Kui mõni element töötatakse läbi nullina või määramata, antakse välja väärtus „undefined“.
• Lõpetatud tugi veebisaitidel ja lisades meetodile Object.toSource() ja globaalsele funktsioonile uneval().
• Uus sündmus on lisatud. languagechange_even ja seotud omadus onlanguagechange, mis võimaldab kutsuda käsitlejat, kui kasutaja muudab liidese keelt.
• HTTP-pealkirja töötlemine on sisse lülitatud. Cross-Origin-Resource-Policy (CORP), mis võimaldab saitidel keelata ressursside (nt piltide ja skriptide) sisestamise, mis on laaditud teistelt domeenidelt (cross-origin ja cross-site). Pealkiri võib võtta kahte väärtust: „same-origin“ (lubab ainult ressursi päringud sama skeemiga, hostinime ja pordiga) ja „same-site“ (lubab ainult päringud samalt saidilt).

  Cross-Origin-Resource-Policy: same-site

• Vaikimisi on lubatud HTTP-pealkiri, Feature-Policy, mis võimaldab hallata API käitumist ja teatud funktsioonide lubamist (nt Geolocation API, kaamera, mikrofon, täisekraan, automaatne taasesitus, krüpteeritud meedia, animatsioon, Payment API, XMLHttpRequest sünkroonses režiimis jne). Iframe'i plokkide jaoks on eraldi pakutud atribuut „allow“, mida saab kasutada lehe koodis teatud iframe plokkide jaoks õiguste määramiseks.

  <iframe src=»https://example.com» allow=»fullscreen»></iframe>

  Feature-Policy: microphone ‘none’; geolocation ‘none’

  Kui sait lubab läbi atribuudiga „allow“ ressurssi kasutada teatud iframe'is ja tehakse iframe'ist päring õiguste saamiseks selle ressursi kasutamiseks, kuvab brauser nüüd õiguste andmise dialooge peamise lehe kontekstis ja volitab kasutaja poolt kinnitatud õigused iframe'ile (asemel et eraldi kinnitust iframe ja peamise lehe jaoks). Kui aga peamisel lehel puuduvad õigused ressursile, mille juurde pääsemiseks on taotletud atribuudiga allow, siis on iframe'il juurdepääs ressursile kohe, blokeeritud, ilma kasutajale dialooge kuvamata.

• Vaikimisi on CSS-i omaduse toetamine lubatud ‘text-underline-position‘, määrab teksti allajoonimise positsiooni (näiteks teksti vertikaalsel kuvamisel saab allajoonimist korraldada vasakul või paremal, samas kui horisontaalsel kuvamisel mitte ainult alt, vaid ka pealt). Täiendavalt CSS-i omadustes on lisatud allajoonimise stiili valik. text-underline-offset ja text-decoration-thickness lisatud toetus protsentväärtuste kasutamiseks.
• CSS-i omaduses outline-style, määrav joone stiil elementide ümber, mille ümberkasutamine on vaikimisi lubatud väärtusega „auto“ (varem oli see riistvara kiirendamine (palju odavam on lugeda joonistatud pikslit, kui need joonistatakse keskprotsessoriga, mitte graafikakaardiga). probleemide tõttu GNOME-is).
• JavaScripti tõrkeotsijasse lisatud võimalus siluda sisemisi Web Worker'e, mille täitmine võib peatuda ja samm-sammult siluda, kasutades peatumispunkte.
  
• Web-lehekülgede inspektori liideses on tagatud hoiatuste kuvamine CSS-i omaduste kohta, mis sõltuvad positsioneeritud elementidest z-index, top, left, bottom ja right.
  
• Windowsi ja macOS-i jaoks on lisatud võimalus importida profiile Chromiumi põhise Microsoft Edge brauserist.

Lisaks uuendustele ja veaparandustele on Firefox 74-s kõrvaldatud 20 haavatavust, millest 10 (kogutud CVE-2020-6814 ja CVE-2020-6815) märgitud kui potentsiaalselt võimelised põhjustama ründaja koodi täitmist spetsiaalselt kujundatud lehekülgede avamise ajal. Tuletame meelde, et mäluprobleemid, nagu puhversettide ülevoolud ja juurdepääs juba vabastatud mälualadele, on hiljuti märgitud kui ohtlikud, kuid mitte kriitilised.

Allikas: opennet.ru